Clickjacking: скрытые клики на чужих страницах

Коротко: Атака, при которой настоящая страница невидимо лежит поверх приманки, так что пользователь непреднамеренно нажимает её кнопки.

Подробнее: Злоумышленник встраивает целевую страницу в прозрачный <iframe> и размещает поверх безобидной на вид страницы («Выиграй телефон!»). Кто нажимает на приманку, на самом деле запускает на целевой странице действие, например «удалить аккаунт» или «купить», со своим существующим входом.

Подробности

Как это работает

С помощью CSS iframe делается невидимым через opacity: 0 и сдвигается так, чтобы опасная кнопка лежала точно под приманкой. Пользователь видит только приманку и нажимает.

Защита: X-Frame-Options и CSP frame-ancestors.

См. также: заголовки безопасности, Content Security Policy, XSS